CVE-2026-17021

W systemie rezerwacji salonu w wersjach do 10.30.24 występuje podatność na nieautoryzowane bezpośrednie odniesienia do obiektów (IDOR). Umożliwia to atakującym dostęp do zasobów, do których nie powinni mieć dostępu.

Wtyczka Salon booking system w wersjach do 10.30.26 zawiera podatność na nieuwierzytelnione złamanie uwierzytelniania (Broken Authentication). Osoba atakująca bez logowania może obejść mechanizmy uwierzytelniania i uzyskać dostęp do kont użytkowników lub administratorów.

Wtyczka Salon booking system do WordPressa zawiera podatność na Reflected XSS w wersjach do 10.31.5 włącznie. Atakujący może wykorzystać tę podatność do wykonania złośliwego skryptu w przeglądarce ofiary.

Podatność Unauthenticated Privilege Escalation w Salon booking system do wersji 10.31.7 pozwala nieuwierzytelnionemu atakującemu na podniesienie swoich uprawnień.

W wtyczce Salon booking system (salon-booking-system) od Dimitri Grassi występuje podatność braku autoryzacji, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 10.31.9.

Wtyczka Salon Booking System dla WordPressa do wersji 10.30.33 nie przeprowadza żadnej kontroli uprawnień ani nie weryfikuje wartości stanu OAuth w swoim wywołaniu zwrotnym autoryzacji Google Calendar, które jest również podpięte dla nieuwierzytelnionych użytkowników. Umożliwia to nieuwierzytelnionemu atakującemu nadpisanie zapisanych tokenów połączenia z Kalendarzem Google tokenami kontrolowanymi przez atakującego i przejęcie integracji. Wykorzystanie wymaga, aby witryna skonfigurowała własnego klienta OAuth Google dla funkcji kalendarza.

Wtyczka Salon Booking System dla WordPressa przed wersją 10.30.34 nieprawidłowo weryfikuje token własności rezerwacji przed jej załadowaniem w krokach potwierdzenia kreatora rezerwacji. Umożliwia to nieuwierzytelnionym atakującym ujawnienie rekordów rezerwacji innych klientów, w tym danych osobowych, poprzez podanie sekwencyjnego identyfikatora rezerwacji.

Wtyczka Salon Booking System dla WordPressa do wersji 10.31.0 nie weryfikuje, czy żądana rezerwacja należy do wywołującego na jednym z jej endpointów REST API, wymagając jedynie podstawowej zdolności odczytu, co pozwala każdemu uwierzytelnionemu użytkownikowi (w tym Subscriberowi lub samodzielnie zarejestrowanemu kontu klienta) na ujawnienie danych osobowych dowolnej rezerwacji klienta, takich jak imię, e-mail, numer telefonu, adres i prywatne notatki, poprzez enumerację identyfikatorów rezerwacji.

Wtyczka Salon Booking System dla WordPress przed wersją 10.30.20 nie posiada odpowiednich kontroli autoryzacji w jednej z akcji AJAX, co pozwala każdemu uwierzytelnionemu użytkownikowi (np. subskrybentowi) na modyfikację ustawień wtyczki i ominięcie ręcznego zatwierdzania nowych rezerwacji.

W systemie rezerwacji salonu w wersjach do 10.30.25 występuje nieautoryzowana luka w kontroli dostępu, która może umożliwić nieuprawnionym użytkownikom dostęp do zasobów.